涉信息網絡侵權民事公益訴訟的辦案思考

摘 要：對網購個人信息用于推銷有毒、有害食品等利用信息網絡侵害人身權益案件，檢察機關提起刑事附帶民事公益訴訟往往存在個人信息損害賠償金額認定難、個人信息侵權和食品安全侵權行為損害賠償責任評價難的情況。檢察機關認為，應堅持法益全面保護原則，兩行為應分別評價，相應的損害賠償數額應當累加。在侵犯公民個人信息獲利額和損失額均難以計算的情況，檢察機關運用法定賠償制度，根據侵權時間、規模、對象等案情要素在法定范圍內確定賠償數額。

關鍵詞：個人信息 銷售有毒、有害食品 法定賠償 法益保護

一、基本案情及辦理過程

2017年至2021年，余某為銷售保健品，以4000多元價格網購和通過原任職的A公司電腦竊取的方式非法獲取包括姓名、電話號碼、地址、年齡、健康信息等老年人相關個人信息共計115萬余條。2018年10月，余某注冊成立有保健品銷售資質的B公司，其任法定代表人并實際管理，從事保健品等零售業務。其后，余某招募吾某、梁某、張某為員工，將非法獲取的老年人個人信息分發給三人，用于電話推銷“某降糖膠囊”“某活腎素”“某鎖精丸”等保健產品。2021年2月至12月，該B公司全國銷售金額達390余萬元，其中銷售添加西地那非的有毒、有害保健食品5萬余元。

公安機關移送審查起訴后，檢察機關啟動“刑事+公益”的一體化辦案機制，對刑事犯罪事實和損害社會公共利益的事實同步引導偵查。經審查，涉案有毒、有害保健品銷售流向遍布全國，涉及上千名老年人。檢察機關認為，在對余某等人追究刑事責任之外，還應追究其民事責任。檢察機關以涉嫌侵犯公民個人信息罪，銷售有毒、有害食品罪，妨害藥品管理罪對涉案公司、余某等4人提起公訴的同時，還就銷售有毒、有害食品和侵犯個人信息的侵權行為提起刑事附帶民事訴訟，訴請法院判決相關侵權人刪除非法獲取的公民個人信息，在國家級媒體上賠禮道歉，承擔侵犯公民個人信息法定公益賠償金30萬元，銷售有毒、有害食品懲罰性賠償金50余萬元。相關訴請全部獲法院判決支持。

二、公益損害賠償責任的認定難點

（一）侵權主體認定難

在侵犯公民個人信息刑事附帶民事公益訴訟案件中，通常情況下侵權主體是侵權行為人個人。但當侵權行為人是公司法定代表人或實際控制人，且侵犯公民個人信息行為與公司業務存在關聯時，存在是單位和個人共同侵權還是個人侵權的爭議，侵權主體認定難。本案辦理過程中，檢察官聯席會議中存在兩種觀點。第一種觀點認為，余某竊取A公司相關個人信息的行為發生在B公司成立前，該部分個人信息的侵權主體應當認定為余某個人。在B公司成立后，余某作為有限責任公司的法定代表人和唯一股東，為拓展公司業務，通過互聯網購買并使用相關個人信息的行為應當認定為公司行為。同時，在B公司運行期間，余某將竊取A公司的個人信息用于B公司業務拓展，同理也應當定性為B公司行為。故侵犯公民個人信息行為的侵權主體應當認定為余某和B公司。第二種觀點認為，余某竊取A公司相關個人信息的行為發生在B公司成立前，該部分個人信息的侵權主體應當認定為余某個人。在B公司成立后，余某在互聯網上以個人名義而非B公司名義購買個人信息，余某和QQ好友“清風明月”的聊天記錄顯示，對方要求查看公司營業執照，被余某拒絕。此外，購買個人信息部分支付的資金由余某個人通過QQ轉賬而非公司賬戶轉賬，故侵犯公民個人信息的行為主體應當認定為余某個人。

（二）公益損害賠償金額計算難

公益損害賠償金額的計算一直是公民個人信息民事公益訴訟案件的辦理難點。根據《民法典》第1182條關于人身損害賠償的規定，損害賠償責任一般按照損失額或者獲利額確定。個人信息屬于人身權，侵害后果主要表現為對個人安寧生活的侵擾，其損失很難以數額進行量化。而實踐中利用個人信息的獲利亦存在計算難的情況，特別是使用個人信息獲得的間接利益難以計算。除了直接買賣個人信息的獲利較為直觀之外，在非法使用個人信息獲得商業利益的情形下，信息價值和最終獲利之間的因果關系不具有排他性，往往出現信息購買數額與最終獲利數額差異巨大的情況。本案中，余某等人利用非法獲得的個人信息銷售案涉保健品期間，B公司總銷售金額達390余萬元，即便扣除成本，最終獲利金額與個人信息購買價格也相差過大。同時余某供述除了電話營銷還存在現場推銷、回頭客介紹等銷售形式，非法獲得的個人信息與最終銷售的完成并不存在唯一的因果關系。除此之外，本案余某等侵權人非法使用公民個人信息的同時，又銷售有毒、有害保健食品，存在侵犯公民個人信息和銷售有毒、有害食品賠償金額是否重復計算的爭議。

三、辦案思考與啟示

（一）準確區分公民個人信息侵權中的單位侵權和個人侵權

公民個人信息單位侵權和個人侵權的區分核心在于當事人實施的侵權行為是單位行為還是個人行為。公民個人信息侵權中單位行為和個人行為的區分與刑法單位犯罪和個人犯罪的區分具有內在的邏輯一致性，可以參照法律關于單位犯罪的規定進行體系解釋。根據《刑法》第30條、第31條的規定，公司、企業等主體實施的危害行為，法律規定有單位犯罪的，實行單位和相關責任人員雙罰制度。根據《最高人民法院關于審理單位犯罪案件具體應用法律有關問題的解釋》（以下簡稱《解釋》）第2條、第3條的規定，個人為違法犯罪而設立單位實施相關活動的，或者單位成立后以違法犯罪為主要活動的，不認定為單位犯罪；盜用單位名義實施犯罪，違法所得由實施犯罪的個人私分的，依照刑法有關自然人犯罪的規定定罪處罰。由此可見，單位行為區分個人行為需考量三個要素：一是行為的名義。通俗的來講，行為以單位的名義即是單位行為，行為以個人的名義即是個人行為。行為是否以單位的名義不僅要看行為人實施行為時的主觀方面，還要看行為人的行為是否體現單位意志。單位意志的形成需要通過單位決策體系中自然人的意志來體現，通常是一種集體意志。二是行為維護的利益。單位犯罪中單位行為的直接目的是維護單位整體利益，而個人行為的目的是為了個人利益。［1］三是單位是否以違法犯罪作為主要活動。《解釋》第3條明確規定個人為違法犯罪成立的單位或者單位成立后以違法犯罪為主要活動的不認定為單位行為。

本案中，非法收集公民個人信息的行為均由余某一人完成，其意圖通過非法獲得的老年人電話等個人信息實現保健品的精準推銷而牟取私利。余某在A公司任職時，未經公司允許私自拷貝公司電腦有關客戶信息的數據，該部分個人信息侵權行為并非為了單位的利益。成立B公司后，余某在網購個人信息時并非以公司名義而是以個人名義。余某在向販賣個人信息的違法中介購買個人信息時，對方要求看其公司營業執照，被其拒絕。同時，購買公民個人信息的資金亦是其使用個人賬戶通過個人QQ進行轉賬。關于B公司的客戶來源問題，雖然余某本人提出除了非法購買個人信息還有實地宣傳、發傳單等合法途徑獲取客戶信息，但是吾某、張某等公司多名員工的證言顯示并未發現公司通過以上合法形式獲取客戶信息。根據證據優勢原則，B公司通過非法手段獲取信息占全部客戶信息的比例更大，其銷售保健品的先行為違法。綜合以上三個要素，本案侵犯公民個人信息的行為定性為個人侵權更為適宜。

（二）積極適用公民個人信息侵權中的法定賠償制度

根據《個人信息保護法》第69條的規定，公民個人信息侵權損害賠償金額的計算標準是被侵權人的損失或者侵權人的獲利。但在實踐中，依據損失額或者獲利額確定賠償標準會存在兩種難以處理的情況。第一種是，侵犯個人信息數量非常大，但是可計算的損失或者獲利數額較小，按照上述數額計算，存在違背全部賠償和公平原則的情形。第二種是，損失額和獲利額均難以計算，損害賠償金額難以確定的情形。《個人信息保護法》第69條第2款規定，“個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據實際情況確定賠償數額”，但是該“實際情況”規定過于寬泛，實踐中難以把握。

對于第一種情形，有觀點提出個人信息公益損害賠償可以設立懲罰性賠償機制，建議個人信息侵權懲罰性賠償的倍數在1倍到3倍之間。個人信息侵權懲罰性賠償機制具體適用根據侵權的后果大小和侵權規模等因子進行量化。［2］個人信息侵權損害后果比較小，影響范圍不大的，則不適用懲罰性賠償機制。如果非法獲取的個人信息被用于電信詐騙等違法犯罪行為，造成嚴重后果的，則根據情節輕重適用懲罰性賠償的不同倍數。對于第二種情形，理論上可以按照《個人信息保護法》“實際情況”的兜底條款進行自由裁量，但司法實踐中往往還是以部分認定的損失額和獲利額作為自由裁量的基礎，這會某種程度上導致“同案不同判”的現象。侵權人非法獲取同等數量、性質個人信息的價格不一樣，以交易價格計算，那么上下家之間、不同上下家之間對于同等侵權行為所承擔的賠償金額的差異會比較大，不利于法律的統一正確適用。

筆者認為，無論是第一種情形還是第二種情形，公民個人信息侵權均可設置法定賠償制度。公民個人信息侵權領域的法定賠償制度也有著明確的法律依據。最高法《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》（以下簡稱《規定》）第12條規定，被侵權人因為人身權益受到侵犯而造成的財產損失或者侵權人因此獲得的利益數額難以計算的，法院可以根據具體案情在50萬元以下的范圍內進行認定。該條款可視作是對《個人信息保護法》第69條“實際情況”的具象化規定，增強了法律適用的可操作性。同時，0到50萬元的法定賠償額度足以填補大多數個人信息侵權行為造成的損害。實踐中，侵權者非法獲取公民個人信息除了用于電信詐騙外，多用于商業推銷，包括推銷保健品、培訓課程、貸款產品等。從損失歸因角度，即便是電信詐騙領域，受害者遭受的巨額損失也不僅僅是個人信息被非法獲取和使用所能造成的，一般是多個侵權人的多種侵權行為綜合導致的結果。電信詐騙“黑灰產業鏈”較長且分工較細，非法獲取公民個人信息部分只是其中一個環節，非法獲利額在被騙數額中占比不高，僅僅因為侵權人實施的侵犯個人信息行為就讓其承擔整個被詐騙損失金額不符合過罰相當原則。非法獲取公民個人信息用于商業推銷的情形，除非是產品責任等人身損害和財產損害較為明確的情況，一般難以量化直接損失，侵權者因此的獲利也不完全歸因于非法獲取的公民個人信息，在50萬元以下范圍確定賠償數額符合過罰相當原則。

本案中，余某為推銷保健品，通過信息網絡手段非法獲取老年人相關個人信息達115萬余條。案涉期間，余某擔任法人代表的B公司保健品可統計的銷售額達390余萬元。檢察機關經調查核實，其中銷售違法添加西地那非成分的有毒、有害保健食品有5萬余元，尚未有客戶因食用該有毒、有害保健食品患食源性疾病產生人身、財產損失的情況。本案無法以損失金額來計算公民個人信息侵權的公益損害賠償，也不適宜以390余萬元的全部銷售金額或者5萬余元的有毒、有害保健品銷售額來認定獲利額。案涉B公司是一個有保健品銷售資質的公司，且該390萬銷售額中現有證據僅能認定5萬余元的有毒、有害食品銷售額。同時，B公司客戶的證言顯示，確實有老客戶帶新客戶等情況出現，不能排除余某通過實地宣傳等合法手段招攬客戶的情況。檢察機關認為，將該390萬銷售額全部認定為非法獲取并使用公民個人信息產生的后果證據不足。根據《規定》第12條的精神，檢察機關結合非法獲取公民個人信息的手段、對象、數量以及查明的銷售額等要素，確定了30萬元的公益損害賠償金訴訟請求。該訴訟請求獲得了法院生效判決的采納。

（三）厘清同時侵犯公民個人信息和食品安全的責任認定

同時侵犯公民個人信息和食品安全的侵權責任認定爭議焦點在于兩個侵權行為是否需要分別評價以及相應的損害賠償金額是否需要累加。筆者認為，同時侵犯公民個人信息和食品安全的行為應當分別評價，相應的損害賠償金額應當累加。理由如下：

第一，侵犯公民個人信息和侵犯食品安全的行為之間不屬于典型的責任聚合，應當分別評價。責任聚合是司法實踐的常見現象，普遍體現在刑民交叉、行刑交叉以及民行交叉的案件中。在責任聚合中，因同一法律事實產生多重結果，行為主體應承擔多個部門法規定的責任。如果是多個法律事實或法律行為侵害了不同法律部門所保護的對象，此時不成立責任聚合，而應當分別承擔責任。［3］本案中，網購老年人個人信息用于推銷有毒、有害保健品的情形包含兩個行為，一個是通過信息網絡手段非法獲取公民個人信息的行為，另一個是銷售有毒、有害食品的行為，這兩個行為是不同的行為并產生了不同的法律事實，因而不適用責任聚合。

第二，網購老年人個人信息用于銷售有毒、有害食品屬于“數行為侵犯數法益”，賠償數額應當累加。賠償數額是否累加的關鍵在于是否“數行為”侵犯了“數法益”。在本案非法獲取公民個人信息用于銷售有毒、有害食品的情形中，公民個人信息侵權行為侵犯的是公民的個人隱私權，而銷售有毒、有害保健食品行為侵犯的是人體健康和食品監管秩序。兩行為侵犯的法益不同，其侵權責任應當分別評價，損害賠償數額應當累計計算。

第三，個人信息和食品安全所保護的法益具有等價值性，結果行為吸收手段行為不能全面修復法益。一個違法行為吸收另一個違法行為的情形主要體現在刑法理論中吸收犯和數罪并罰中的吸收原則等制度中。通說認為，吸收犯是指一個犯罪行為因為是另一個犯罪行為的必經階段、組成部分或當然結果，而被另一個犯罪行為吸收，僅成立吸收行為一罪的情形。［4］數罪并罰中的吸收原則一般是指重罪吸收輕罪（執行最重的罪），輕罪因被重罪吸收而不執行。［5］由于隱私權和人身健康權都是公民的重大人身權益，個人信息和食品安全所保護的法益具有等價值性，且銷售有毒、有害食品并非是侵犯公民個人信息行為的當然結果，侵犯公民個人信息行為也不是銷售有毒、有害食品行為的必經階段，結果行為吸收手段行為不利于法益的全面保護。

總之，在利用信息網絡侵犯公民人身權益領域的公益訴訟案件中，檢察機關應充分利用法定賠償制度，探索個人信息公益損害賠償數額的認定方法，同時堅持法益全面保護原則，對侵犯“數法益”的數行為進行分別評價，更好的守護人民群眾的合法權益。